防火墙——SNAT和DNAT策略的原理及应用、防火墙规则的备份、还原和抓包

最新推荐文章于 2024-05-22 17:12:56 发布
最新推荐文章于 2024-05-22 17:12:56 发布
阅读量1k 收藏 1
点赞数
分类专栏： 防火墙 文章标签： linux 运维 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Axic123/article/details/130777647
版权

防火墙—SNAT和DNAT策略的原理及应用、防火墙规则的备份、还原和抓包

一、SNAT策略概述

  • SNAT（Source Network Address Translation，源地址转换）是Linux防火墙的一种地址转换操作，也是iptables命令中的一种数据包控制类型，其作用是根据特定的条件修改数据包的源IP地址。

1、SNAT应用环境

  • 局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由）

在这里插入图片描述

2、SNAT原理

  • 修改数据包源地址

3、SNAT转换的前提条件

  • 局域网各主机已正确设置IP地址、子网掩码、默认网关地址
  • Linux网关开启IP路由转发

二、SNAT策略的应用

1、临时打开

Linux网关开启IP路由转发:

echo 1 > /proc/sys/net/ ipv4/ip_forward
或
sysctl -w net. ipv4.ip_forward=1

2、永久打开

Linux网关开启IP路由转发:

vim /etc/sysctl.conf
net.ipv4.ip_forward = 1      #将此行写入配置文件

sysctl -p           #读取修改后的配置

在这里插入图片描述

3、SNAT转换1：固定的公网IP地址

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to 12.0.0.1
或
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to-source 12.0.0.1-12.0.0.10
                                     内网IP       出站 外网网卡                      外网IP或地址池

4、SNAT转换2：非固定的公网IP地址（共享动态IP地址）

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j MASQUERADE
  • 扩展：一个IP地址做SNAT转换，一般可以让内网100到200台主机实现上网

5、实验

  • SNAT环境准备：三台主机，一台私网主机、一台公网主机、一台做SNAT转换的网关服务器

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
具体操作如下：

  • 首先将外网，内网服务器的防火墙都关上

  • 然后在外网服务器上安装httpd，并在/var/www/html目录下创建一个文本内容

在这里插入图片描述

  • 在内网和外网服务器上将其网卡的网关地址改成对应的服务器上对应的内外网地址

在这里插入图片描述
在这里插入图片描述

  • 在网关服务器的 /etc/sysctl.conf文件中打开路由转发功能

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
- -to(- -to-source的缩写)为转换后的地址也可以写一个地址范围比如192.168.154.100-192.168.154.200
iptables -t nat -A POSTROUTING -s 192.168.154.0.24 -o ens36 -j MASQUERADE ##非固定的公网IP地址（共享动态IP地址）

  • 然后去内网主机去访问外网主机的http服务

在这里插入图片描述

三、DNAT策略概述

1、DNAT应用环境

  • 在Internet中发布位于局域网内的服务器

2、DNAT原理

  • 修改数据包的目标地址

3、DNAT前提条件

  • 局域网的Web服务器能够访问Internet
  • 网关的外网IP地址有正确的DNS解析记录
  • Linux网关支持IP路由转发
vim /etc/sysctl.conf
net.ipv4.ip_forward = 1

sysctl -p

在这里插入图片描述

四、DNAT策略的应用

1、DNAT转换1：发布内网的Web服务

#把从ens33进来的要访问web服务的数据包目的地址转换为 192.168.80.11
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.11
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.11
                             入站 外网网卡  外网IP											   内网服务器IP
 
iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 80 -j DNAT --to 192.168.80.11-192.168.80.20

2、DNAT转换2：发布时修改目标端口

#发布局域网内部的OpenSSH服务器，外网主机需使用250端口进行连接
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.11:22

#在外网环境中使用SSH测试
ssh -p 250 root@12.0.0.1

yum -y install net-tools 		#若没有 ifconfig 命令可提前使用 yum 进行安装
ifconfig ens33
  • 注意：使用DNAT时，同时还有配合SNAT使用，才能实现响应数据包的正确返回。

3、扩展

  • 主机型防火墙：主要使用 INPUT、OUTPUT 链，设置规则时一般要详细的指定到端口

  • 网络型防火墙：主要使用 FORWARD 链，设置规则时很少去指定到端口，一般指定到IP地址或者到网段即可

4、实验

  • DNAT环境准备：三台主机，一台私网主机、一台公网主机、一台做DNAT转换的网关服务器

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
具体操作如下：

  • 首先将外网，内网服务器的防火墙都关上

  • 然后在外网服务器上安装httpd，并在/var/www/html目录下创建一个文本内容

在这里插入图片描述
在这里插入图片描述

  • 在内网和外网服务器上将其网卡的网关地址改成对应的服务器上对应的内外网地址

在这里插入图片描述
在这里插入图片描述

  • 在网关服务器的 /etc/sysctl.conf文件中打开路由转发功能

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

  • 然后去外网主机去访问内网主机的http服务

在这里插入图片描述

五、防火墙规则的备份、还原和抓包

1、导出（备份）所有表的规则

iptables-save > /opt/ipt.txt

2、导入（还原）规则

iptables-restore > /opt/ipt.txt

3、iptables自动还原

  • 将iptables规则文件保存在/etc/sysconfig/iptables 中，iptables服务启动时会自动还原规则
iptables-save > /etc/ sysconfig/ iptables

systemctl stop iptables .      #停止iptables服务会清空掉所有表的规则
systemctl start iptables       #启动iptables服务会自动还原/etc/ sysconfig/ iptables中的规则

4、Linux抓包工具tcpdump

tcpdump -i ens32 -s 0 src net 12.0.0.0/24 -w /opt/tar.cap
-i ens32只抓经过接口ens32的包
-t不显示时间戳
-s 0抓取数据包时默认抓取长度为68字节。加上-s 0后可以抓到完整的数据包
src net 12.0.0.0/24数据包的源网络地址为12.0.0.0/24
-w /opt/tar.cap保存成cap文件， 方便用ethereal (即wireshark)分析

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

Axic123
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
iptables之SNAT和DNAT
01-08
iptables、SNAT和DNAT实验
SNAT与DNAT公私网地址转换
qq_64612585的博客
02-19 1136
SNAT和DNAT是两种重要的网络地址转换技术，它们允许内部网络中的多个主机共享单个公共IP地址，或者将公共IP地址映射到内部网络中的特定主机。这些技术在构建企业级网络和互联网应用程序时非常重要，因为它们可以帮助保护内部网络安全，同时提供对外部网络的可访问性。目录前言一、SNAT1. 概述2. SNAT原理与应用3. SNAT转换前提条件4. 案例演示5. 公网地址未知二、DNAT1. 概述2. DNAT原理与应用3. DNAT转换前提条件4. 案例演示。
SNAT与DNAT
TTSuzuka的博客
11-02 9266
局域网共享一个公网IP接入lnternel，好处如下保护内网用户安全，因为公网地址总有一些人恶意扫描，而内网地址在公网没有路由所以无法被扫描，能被扫描的只有防火墙这一台，这样就减少了被攻击的可能。Ipv4地址匮乏，很多公司只有一个ipv4地址，但是却有几百个用户需要上网，这个时候就需要使用SNAT。省钱，公网地址付费，使用SNAT只需要一个公网ip就可以满足几百人同时上网。向internel发布内网服务器，在内网中有服务器，如果想让公网用户访问有有两种方法。
SNAT和DNAT策略
最新发布
2402_83805984的博客
05-22 493
在Internet中发布位于局域网内的服务器;DNAT原理：修改数据包的目的地址。1.局域网的服务器能够访问Internet;2.网关的外网地址有正确的DNS解析记录;3.Linux网关开启IP路由转发;sysctl -p #加载DNAT转换1：发布内网的Web服务#把从ens33进来的要访问web服务的数据包目的地址转换为 192.168.80.10或入站 外网网卡 外网IP 内网服务器IP。
SNAT和DNAT
Ggggggggggu的博客
07-17 1891
SNAT应用环境局域网主机共享单个公网IP地址接入Internet(私有IP不能在Internet中正常路由)SNAT原理源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射。net.ipv4.ip_forward=1#将此行写入配置文件。1.局域网各主机已正确设置IP地址、子网掩码、默认网关地址。linxu想系统本身是没有转发功能只有路由发送数据。注还有一种方式静态路由，这个就比较麻烦。把源地址根据数据包的目的地址来做源映射。SNAT原理与应用..........
防火墙SNAT及DNAT介绍
Smile x
05-27 701
一、SNAT原理与应用 1.SNAT应用环境 局域网主机共享单个公网IP地址接入Internet (私有IP不能在Internet中正常路由) 2.SNAT原理 修改数据包的源地址。 3.SNAT转换前提条件: （1）局城网各主机已正确设置IP地址、子网掩码、默认网关地址 （2） Linux网q关开启IP路由转发 #临时打开: echo 1> /proc/sys/net/ipv4/ip_ forward 或 sysctl -w net. ipv4.ip._forward=1 #永久打开: vim
系统安全：SNAT和DNAT的实现
tgzh123的博客
03-27 421
④IP地址要求：PC1为192.168.30.11/24--网关为192.168.30.12、PC2网关的ens33网卡地址为192.168.30.12/24--网关为192.168.30.12、ens36为12.0.0.254/24--不需要网关、PC3为12.0.0.100/24--网关为12.0.0.254。③网络模式要求：PC1为NAT模式、PC2中作为PC1网关的网卡为NAT模式、作为PC3网关的网卡为仅主机模式、PC3为仅主机模式。PC1内网日志会显示访问的源公网ip。
Linux防火墙配置SNAT教程（1）
09-15
主要为大家详细介绍了Linux防火墙配置SNAT教程，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
Linux防火墙配置SNAT教程（2）
09-15
主要为大家详细介绍了Linux防火墙配置SNAT教程第二篇，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
VMware之SNAT与DNAT.docx
01-03
下面我们将深入探讨 SNAT 和 DNAT 的概念、工作原理以及它们在 VMware 环境中的应用。 首先，让我们来理解 SNAT。SNAT 主要用于解决多台内部网络设备共享一个公共 IP 地址访问外部网络的问题。在企业环境中，由于...
【linux网络】防火墙规则二：SNAT策略与DNAT策略
wang_dian1的博客
05-21 1069
将外网发来的数据包的目的地址由公网IP/端口，转换为私网IP/端口，网关服务器在更具路由转发。第二步：配置好虚拟机的IP地址与网关地址，并开启路由转发，同上即可。第一步，开启三台服务器，一台客户端，一台网关服务器，一台服务端。第一步：配置三台虚拟机，外网虚拟机做客服端，内网虚拟机做服务端。第二步，在网关服务器上开启路由转发，并使用SNAT转换地址。第三步：做DNAT转换把，内网服务器及端口号映射在外网口。
SNAT与DNAT策略
ynyysn的博客
02-18 1245
1.SNAT策略及应用 SNAT策略的典型应用环境 局域网主机共享单个公网IP地址接入Internet SNAT策略的原理 源地址转换，Source Network Address Translation 修改数据包的源地址 SNAT原理与应用 SNAT应用环境;局域网主机共享单个公网IP地址接入Internet (私有IP不能在Internet中正常路由)SNAT原理;源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映谢 SNAT转换前提条件: 1.局域网各主机己正确设置IP地址、子网掩码、默
【SNAT和DNAT的原理与应用】
DiKL_Y的博客
05-21 3062
SNAT和DNAT实验和抓包
防火墙之SNAT和DNAT
FYR1018的博客
05-10 1667
1 SNAT 原理与应用1.1 SNAT 应用环境和策略的原理1.2 SNAT 工作原理1.3 SNAT 转换前提条件1.4 路由转发开启方式1.5 SNAT转换1.6 小知识扩展2 SNAT 案例3 DNAT 原理与应用3.1 DNAT 应用环境3.2 DNAT 策略原理3.3 DNAT 转换前提条件3.4 DNAT转换4 DNAT案例5.1 防火墙规则的备份和还原5.2 tcpdump---Linux抓包 监听网络流量命令
[计算机网络]十三、配置iptables防火墙（SNAT和DNAT的策略及应用、使用layer7应用层过滤功能）
m0_48638643的博客
04-09 1964
1、iptables和firewalld iptables是之前centos6用的防火墙规则命令，而firewalld是centos7和8使用的命令。当然在centos7和8中这两个规则命令都能够使用。firewalld底层调用的命令仍是iptables
防火墙（二）之SNAT原理与应用(理论，待试验)
Gloom丿郁的博客
01-31 406
SNAT原理与应用： 文章目录SNAT原理与应用：SNAT应用环境:SNAT原理:SNAT转换前提条件:SNAT转换1:SNAT转换2:DNAT原理与应用:DNAT 应用环境:DNAT原理:DNAT转换前提条件:DNAT转换1:DNAT转换2:防火墙规则的备份和还原导出(备份)所有表的规则导入(还原)规则 SNAT应用环境: 局域网主机共享单个公网IP地址接入Internet(私有IP不能在Internet中正常路由) SNAT原理: 修改数据包的源地址。 SNAT转换前提条件: 1.局域网各主机已正确设置
SNAT 与 DNAT
qq_57093716的博客
02-18 1636
分离解析，你牛！
iptables中SNAT、DNAT及iptables服务启动时会自动还原规则
2302_76824193的博客
05-21 810
iptables服务、SNAT、DNAT、防火墙规则的备份和还原
ensp防火墙snat和dnat配置
05-20
SNAT（源地址转换）和DNAT（目的地址转换）是防火墙中常见的功能。它们用于在防火墙上对网络流量进行地址转换，以实现特定的网络需求。 下面是一些简单的SNAT和DNAT配置示例： SNAT配置： 1. 将内部IP地址192.168.1.100转换为外部IP地址202.101.1.100： ``` iptables -t nat -A POSTROUTING -s 192.168.1.100 -j SNAT --to-source 202.101.1.100 ``` 2. 将所有内部IP地址转换为外部IP地址： ``` iptables -t nat -A POSTROUTING -j SNAT --to-source 202.101.1.100 ``` DNAT配置： 1. 将外部IP地址202.101.1.100的流量转发到内部IP地址192.168.1.100： ``` iptables -t nat -A PREROUTING -d 202.101.1.100 -j DNAT --to-destination 192.168.1.100 ``` 2. 将外部IP地址202.101.1.100的80端口流量转发到内部IP地址192.168.1.100的8080端口： ``` iptables -t nat -A PREROUTING -p tcp -d 202.101.1.100 --dport 80 -j DNAT --to-destination 192.168.1.100:8080 ``` 这些是基本的SNAT和DNAT配置示例，具体配置取决于你的网络需求和防火墙规则。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值